Hive数据访问权限控制

阶段一：管理员进行一次性配置

在用户可以申请权限之前，管理员需要完成所有前置配置工作。

前置确认工作

• 【EMR侧】

  • 确保已创建EMR集群，并已开启 OpenLDAP认证、Ranger服务。

  • 确保Hive服务已配置LDAP认证（hive.server2.authentication=LDAP）。

  • 确保已在OpenLDAP中为所有相关用户创建对应的LDAP账号。详情请参见OpenLDAP 用户管理。

  • 确保Ranger UI中已经添加LDAP账号。

• 【DataWorks侧】

  • 确保EMR集群已注册到DataWorks工作空间成为EMR计算资源，并完成资源组初始化（需保证VPC连通或同一个VPC内）。

  • 完成EMR计算资源的账号映射配置，将阿里云账号映射到LDAP账号。详情请参见计算资源的设置集群身份映射。

  • 确保操作者拥有DataWorks租户管理员权限。

配置操作流程

阶段二：开发者与管理员的日常使用与审批

配置完成后，进入日常的权限申请与审批循环。

步骤一：新增Ranger配置

管理员需要在DataWorks安全中心中新增Ranger配置，将EMR集群与DataWorks关联。配置内容包括：

• 集群类型：选择EMR。

• EMR集群ID：选择已注册到DataWorks工作空间的EMR集群。

• 资源组：选择与EMR集群在同一VPC的通用型资源组。

• RangerAdmin地址：填写EMR集群中RangerAdmin的内网访问地址。

• 管理员账号/密码：填写Ranger管理员的账号和密码。

详细操作步骤请参见新增Ranger配置。

步骤二：关联Hive Service

新增Ranger配置后，需要新增Hive类型的Service关联，使DataWorks能够通过Ranger管理Hive的数据访问权限。

1. 在安全中心页面，选择安全策略 > 管理Ranger。

2. 单击目标Ranger配置的管理Service。

3. 单击新增关联，配置以下信息：

   参数	描述
   Ranger Service Type	选择Hive。
   Ranger Service Name	输入EMR集群中已配置的Hive Ranger Service名称。本例中填写emr-hive。
   EMR 集群	选择已关联到当前Ranger的EMR集群。

详细操作步骤请参见新增Ranger配置中的关联Service部分。

步骤三：配置身份凭证

管理员需要为每个需要访问Hive数据的RAM用户配置身份凭证，将RAM用户与LDAP账号关联。

本例中，管理员需要分别为alice和bob配置身份凭证：

为管理员alice配置身份凭证：

为开发者bob配置身份凭证：

详细操作步骤请参见身份凭证。

步骤一：进入数据访问控制

1. 登录DataWorks控制台，进入目标工作空间。在左侧导航栏，选择数据治理 > 安全中心。

2. 在安全中心页面，在左侧导航栏单击数据访问控制。

步骤二：申请权限

在数据访问控制页面进行权限申请，需要配置申请内容与申请信息两个模块的信息。

1. 在数据访问控制页面，单击进入权限申请页签。

2. 申请资源权限。

   1. 在申请内容区域，选择数据源类型为Hive，即可配置申请内容。

      1. 申请类型：可按需求在库与表之间选择。本例中选择表。

      2. EMR 集群：选择已在DataWorks中绑定的EMR集群实例。

      3. 选择需要申请的资源与资源权限。

         选择申请类型为表时，先选择数据库（本例为order_db），系统自动加载该库中所有可申请权限的数据表。选择需要申请权限的表（本例为user_orders）以及表权限（本例为SELECT）。

         若选择申请类型为库时，申请内容区域会加载出可以申请权限的Hive数据库名称。选择需要申请权限的数据库以及库权限（如SELECT、ALL等）。

   2. 配置申请信息。

      参数	描述
      使用者	选择需要为谁申请目标资源权限。 当前登录账号：表示为当前登录DataWorks工作空间的阿里云账号申请权限。本例中bob选择此项。 代他人申请：表示当前登录DataWorks工作空间的阿里云账号为其他阿里云账号申请权限。选择该选项时，需要配置用户名参数。
      申请时长	Hive仅支持：永久。
      申请原因	输入申请权限的原因。本例中bob填写"需要查询order_db库中user_orders表的数据进行数据分析"。

3. 配置完成后，单击申请权限，即可提交权限申请。